Как обработать запрос на отзыв согласия и удаление персональных данных

Клиент требует удалить его персональные данные после отзыва согласия. Разбираем, что говорит 152-ФЗ: сроки, когда можно отказать, как оформить уничтожение данных и не нарушить закон.

Клиент пишет: отзываю согласие на обработку персональных данных, удалите мою анкету из базы. У бухгалтера растерянность, у маркетолога вопрос, что теперь делать с историей заказов. Разбираемся, что говорит закон и как отвечать на такие обращения.

Что говорит закон об отзыве согласия

По статье 9 152-ФЗ субъект персональных данных вправе отозвать согласие на обработку в любой момент. Форму отзыва закон жёстко не регламентирует: достаточно письменного обращения, из которого понятно, кто и что просит.

После отзыва вступает в силу статья 21 закона. Оператор обязан прекратить обработку персональных данных и, если хранить их больше не для чего, уничтожить в срок до 30 дней с даты поступления обращения. Если данные обрабатывает подрядчик по поручению оператора, оператор обязан обеспечить уничтожение и у него.

Что делать, когда пришёл запрос

1. Зафиксировать дату получения обращения. От неё считаются 30 дней.
2. Проверить, действительно ли обращение пришло от субъекта данных, а не от постороннего человека.
3. Найти основание, на котором компания сейчас обрабатывает данные этого человека. Если единственное основание — согласие, и оно отозвано, обработку нужно прекращать.
4. Проверить, нет ли других законных оснований хранить часть данных: действующий договор, бухгалтерский или налоговый учёт, судебный спор, обязанность по другому закону.
5. Уничтожить данные, которые не подпадают под эти основания, и составить акт об уничтожении.
6. Сообщить подрядчикам, которые обрабатывают эти данные по поручению, о необходимости уничтожить их тоже.
7. Ответить субъекту данных: что сделано, что осталось и почему.

Когда можно не удалять всё

Отзыв согласия не отменяет действующий договор. Пока договор с клиентом не расторгнут, а закон требует хранить бухгалтерские документы, часть данных остаётся у оператора на этом основании, а не на основании согласия. Товарные накладные и счета с персональными данными покупателя хранят установленный срок для бухгалтерского и налогового учёта, даже если человек отозвал согласие на рассылки.

Похожая история с данными, которые нужны для судебного спора или проверки контролирующего органа: их можно хранить, пока актуальна соответствующая цель.

А данные, которые собирали только для рассылок, бонусной программы или аналитики поведения на сайте, при отзыве согласия удаляют полностью. Другого основания для них у оператора нет.

Как задокументировать процесс

Внутренний порядок работы с такими обращениями стоит описать в локальном акте по статье 18.1 закона: кто принимает заявление, кто проверяет основания, кто удаляет данные и в какой срок отвечает заявителю. Если такого пакета документов пока нет, его можно собрать по готовому шаблону.

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

На каждое уничтожение персональных данных нужен акт: дата, состав уничтоженных данных, способ уничтожения, ответственный сотрудник. Эти акты пригодятся, если Роскомнадзор запросит их при проверке.

Чек-лист готовности к проверке Роскомнадзора

Частые ошибки

• Игнорируют обращение, потому что оно пришло не через форму на сайте, а в свободном письме или сообщении в мессенджере. Закон не требует конкретной формы отзыва.
• Удаляют все данные о клиенте подряд, включая те, что нужны для бухгалтерского учёта, и потом не могут закрыть отчётный период.
• Не сообщают подрядчикам, которые обрабатывают данные по поручению, и те продолжают хранить копию.
• Отвечают через два месяца вместо положенных 30 дней.

Частые вопросы

Может ли компания отказать в удалении данных полностью?

Да, если есть другое законное основание для их хранения помимо согласия: действующий договор, требования бухгалтерского или налогового учёта, судебный спор. В ответе стоит объяснить, какие данные удалены, а какие остаются и почему.

Что будет, если не уложиться в 30 дней?

Компания нарушает статью 21 152-ФЗ. Субъект персональных данных вправе обратиться с жалобой в Роскомнадзор или в суд, а нарушение сроков грозит оператору административной ответственностью.

Нужно ли уведомлять Роскомнадзор об удалении данных по запросу клиента?

Нет, отдельного уведомления РКН такая ситуация не требует. Уведомлять регулятора нужно в других случаях, например при утечке персональных данных.

Как быть, если непонятно, от кого пришёл запрос?

Стоит запросить у заявителя сведения, которые позволят убедиться, что обращение исходит от самого субъекта персональных данных, а не от третьего лица.

Соберите короткий регламент на одну-две страницы: кто в компании принимает такие обращения, какие сроки действуют и какие основания позволяют не удалять данные полностью. Тогда каждый новый запрос от клиента не будет ставить сотрудников в тупик.